Le pentesting était pertinent lorsque les mises en production avaient lieu tous les quelques mois. Une évaluation ponctuelle pouvait alors fournir une image précise du risque pendant des semaines, voire des mois. Aujourd'hui, les équipes d'ingénierie déploient en continu. Notre enquête sur l'état de l'IA dans le pentesting, menée auprès de 200 CISO et 200 leaders de l'ingénierie, a révélé que 76 % déploient des changements significatifs au moins chaque semaine, tandis que près de 40 % déploient quotidiennement. Pourtant, seulement 21 % valident la sécurité à chaque mise en production.
Cet écart a des conséquences.
- 79 % craignent de passer à côté de vulnérabilités entre les pentests.
- La moitié déclare que les résultats sont déjà obsolètes au moment où le rapport arrive.
- 64 % affirment que les délais des tests de sécurité influencent les décisions de mise en production, soit en retardant les déploiements, soit en forçant les équipes à accepter des risques supplémentaires.
Pour de nombreuses organisations, le pentest IA devient le moyen pratique de combler cet écart. Cependant, comme il s'agit encore d'une catégorie relativement nouvelle, les acheteurs évaluent souvent les plateformes en utilisant des critères conçus pour les tests d'intrusion traditionnels. Ces critères ne vous indiquent plus quelle plateforme sera la plus performante une fois qu'elle est intégrée à votre workflow de développement.
Questions auxquelles tout fournisseur de pentest IA devrait pouvoir répondre
Chaque fournisseur peut démontrer la découverte de vulnérabilités.
Les questions plus complexes apparaissent une fois que la plateforme fait partie de votre workflow d'ingénierie. Peut-elle utiliser le code source ? Comment les agents IA sont-ils empêchés de sortir du périmètre ? La plateforme continuera-t-elle à apporter de la valeur à mesure que votre logiciel évolue ?
La plateforme peut-elle utiliser le code source ?
Sur plus de 1 000 pentests IA, les tests en boîte blanche ont révélé 7 fois plus de vulnérabilités tout en nécessitant moins de tentatives que les tests en boîte grise seuls.
Toutes les plateformes de pentest IA ne prennent pas en charge les tests en boîte blanche, et celles qui le font n'utilisent pas nécessairement le code source de la même manière. Comprendre comment les fournisseurs utilisent le code, et les preuves derrière les résultats, devrait faire partie de chaque évaluation.
Demandez aux fournisseurs :
- La plateforme prend-elle en charge les tests en boîte blanche ?
- L'accès au code est-il facultatif ?
- Comment le code source est-il utilisé pendant les tests ?
- Comment le code source du client est-il protégé ?
- Quelles preuves montrent que l'accès au code améliore les résultats ?
Comparez-vous équitablement les fournisseurs ?
Une évaluation de fournisseur n'est utile que si chaque plateforme est testée dans des conditions comparables.
Si un fournisseur reçoit le code source et un autre non, ou si une plateforme fonctionne beaucoup plus longtemps ou consomme nettement plus de crédits, les rapports finaux deviennent difficiles à comparer.
L'une des recommandations du guide est la suivante :
La checklist développe ce point avec des questions pratiques couvrant l'authentification, le code source, le périmètre, la validation et le reporting, afin que chaque fournisseur soit évalué dans les mêmes conditions.
Comment le périmètre des tests est-il respecté ?
Les agents IA sont conçus pour explorer les applications. Les acheteurs doivent comprendre précisément comment ces limites sont appliquées.
Demandez comment le périmètre est appliqué. La production peut-elle être exclue par défaut ? Les domaines sont-ils sur liste blanche ? Que se passe-t-il si un agent suit une redirection en dehors de l'environnement convenu ? Les tests peuvent-ils être surveillés ou arrêtés pendant leur exécution ?
Les plateformes les plus robustes appliquent ces contrôles techniquement, plutôt que de s'appuyer sur des invites ou des instructions écrites.
Comment la plateforme s'adapte-t-elle aux changements logiciels ?
Les équipes d'ingénierie modernes ne cessent pas de livrer après la fin d'un test d'intrusion. Nouveau code, nouvelles fonctionnalités et nouvelles dépendances modifient tous la surface d'attaque.
Demandez aux fournisseurs comment leur plateforme s'intègre à votre processus de release. Les tests peuvent-ils s'exécuter automatiquement à mesure que le logiciel évolue ? À quelle vitesse une nouvelle application peut-elle être intégrée ? Les correctifs sont-ils retestés sans planifier un autre engagement ? Combien de temps faut-il pour obtenir les premiers résultats significatifs ?
Ces questions deviennent de plus en plus importantes pour les organisations qui déploient plusieurs fois par semaine ou qui intègrent la sécurité directement dans leur CI/CD.
Signaux d'alerte courants lors d'une évaluation
Le guide met également en évidence des signes d'alerte qui méritent un examen plus approfondi.
- Les fournisseurs ne peuvent pas expliquer comment les résultats sont validés.
- L'accès au code est écarté sans preuve comparative.
- Les garde-fous de sécurité reposent sur des invites plutôt que sur des contrôles techniques.
- Chaque démo se concentre sur des vulnérabilités OWASP connues avec peu de preuves de tests de logique métier.
Aucun de ces éléments n'exclut automatiquement une plateforme, mais chacun mérite un examen plus approfondi avant de prendre une décision.
Téléchargez le guide d'achat du pentest IA
Les exemples ci-dessus ne sont qu'une petite partie du cadre d'évaluation.
Le guide complet comprend également :
- Une checklist pratique d'évaluation des fournisseurs
- Comparaisons entre pentest IA et pentest manuel
- Recherche basée sur plus de 1 000 pentests IA
- Analyse des tests boîte blanche versus boîte grise
- Constats clés de notre rapport sur l'état des lieux du pentest IA
- Une étude de cas client anonymisée où le pentest IA a révélé 13 problèmes après qu'un pentest manuel de 120 heures n'en ait signalé aucun
Que vous évaluiez Aikido ou une autre plateforme, ce guide est conçu pour vous aider à comparer chaque fournisseur selon le même ensemble de critères.
Téléchargez le guide complet ici :
